Аудит системы управления информационной безопасностью на соответствие стандарту ISO 27001:2013, страница 2

6.  Торгово-закупочная деятельность, комиссионная, розничная и оптовая реализация продовольственных и непродовольственных товаров, строительных материалов, сельхозпродукции, зерна и продуктов его переработки, алкогольной продукции и товаров народного потребления, открытие магазина;

7.  Посреднические услуги по купле – продаже товаров народного потребления;

8.  Деятельность, связанная с поставкой, хранением, оптовой и розничной реализацией нефтепродуктов, содержанием и эксплуатацией нефтебаз, нефтехранилищ, складов ГСМ, стационарных и передвижных автозаправочных станций (пунктов);

9.  Сдача в прокат предметов бытового назначения и хозяйственного обихода;

10.  Маркетинговые исследования, консультации по вопросам коммерческой деятельности, финансов и управления, юридические и представительские услуги и реклама;

11.  Строительство, в том числе следующие виды деятельности: экспертиза проектов и освоение территорий, производство строительных конструкций и материалов, выполнение проектных работ, производство строительных материалов, изделий и конструкций, посреднические функции в строительной области, работы, связанные с использованием земель;

12.  Проектирование и строительство зданий и сооружений I и II уровней ответственности в соответствии с государственным стандартом;

13.  Инженерные изыскания для строительства зданий и сооружений I и II уровней ответственности в соответствии с государственным стандартом;

14.  Снабженческо-сбытовая деятельность;

15.  Разработка, испытание, производство, распространение (торговля), ремонт, техническое обслуживание и утилизация всех видов техники;

16.  И иное.

Количество сотрудников 483 человека. Компания ПО «» занимает комплекс из 7 зданий.

занимается государственными заказами, выигрывает тендеры.  

Для взаимодействия отделов используются мессенджер ICQ и информационная система Bitrix24.  В последней происходит учет рабочего времени, постановка задач, взаимодействие между отделами.

В качестве систем информационной безопасности в Зарнице используются следующие средства:

1.  Инженерно-технические:

А) Контрольно-пропускной пункт с поясным турникетом, помещением охраны с системой телевизионного наблюдения и журналом перемещения ключей;

Б) Карты proximity для контроля доступа сотрудников в здание;

В) Камеры видеонаблюдения;

Г) Железные распашные ворота высотой 2,2м с электромеханическим приводом для контроля доступа автотранспорта;

2. Программно-аппаратные:

А) AIDA64 – программа для сбора данных конфигурации компьютера и тестирования производительности;

Б) kerio control – программный межсетевой экран, контролирует пользовательский доступ в Интернет;

В) super winspy – программа – шпион, позволяющая получить информацию о посещенных Интернет-сайтах, скаченных файлах;

Г) источники бесперебойного питания ippon back office 400;

Д) SVN – централизованная система контроля версий;

Оценка рисков

На этапе планирования аудита необходимо определить наиболее критичные риски организации. В ПО «» одним из основных бизнес процессов (далее БП) является разработка программного обеспечения. Поэтому сначала рассмотрим риски связанные с этим БП, а затем риски с уже известными контрмерами.

Для оценки наследственных рисков разработки ПО используем следующую матрицу:

Риск	Масштаб
Вероятность		Бизнес процесс	Компания	Клиент
	Низкая	0	1	2
	Средняя	1	2	3
	Высокая	2	3	3

Риск оценивается как: 0 – незначительный, 1 – низкий, 2 – средний, 3 – высокий.

Рассмотрим риски при разработке ПО:

1.  Неполнота/отсутствие актуальных требований заказчика

Вероятность: средняя

Масштаб: Клиент

Риск: высокий

2.  Утечка информации, представляющей интеллектуальную собственность

Вероятность: высокая

Масштаб: Компания

Риск: высокий

3.  Нарушение доступности ресурсов

Вероятность: средняя